Tækjamerkimiðar eru ekki VPN-skírteini: þrjár fullyrðingar til að aðgreina

Hýsilnöfn, raðnúmer og falin merkjaskrár hjálpa til við að merkja fartölvu, og ekkert þeirra sannar að fartölvan sem sýnir eitt þeirra sé samþykkta tækið. Aðgangur hvílir á þremur aðskildum fullyrðingum: að eignin sé sú sem stofnunin skráði, að biðlarinn búi yfir skírteininu sem gefið var út fyrir hana, og að það skírteini sé varið eins og stefnan krefst. Að sameina þær í eina athugun er leiðin sem afrituðum skrám og klónuðum lyklum tekst að smjúga í gegn.

Þrjár fullyrðingar sem sameinaðar eru í eina

Birgðaskráin lýsir eigninni og eiganda hennar. Skráning tengir viðeigandi skírteini við þá skrá. Við tengingu staðfestir VPN það sönnunargagn sem stillt aðferð þess krefst. Raðnúmer sem slegið er inn í skráningarform ætti ekki að fá sjálfkrafa heimild þess tækis, því formið sannar aðeins að einhver þekki raðnúmerið. Aðgreinið þrjú skrefin og hvert þeirra er prófanlegt eitt og sér.

Merkjaskrá er verri en raðnúmer að einu leyti: að afrita hana er auðvelt, og hvert eintak virðist jafn sannfærandi.

Sjáðu hvað tækið sýnir í raun

Lítið á skírteinið sem biðlarinn geymir í raun áður en þið gerið ráð fyrir að það sé tækjasértækt.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Listinn sýnir hvaða vélarskírteini eru til og hvort einkalykill er til staðar, sem er munurinn á opinberri skrá og nothæfu skírteini. Útskrift geymslunnar bætir við nafni veitandans, og hugbúnaðarveitandi á móti vettvangsdulkóðunarveitanda er fyrsta vísbendingin um hvar lykillinn býr. Skírteini án einkalykils síns staðfestir ekkert, á meðan einkalykill sem fluttur er út á aðra vél gerir skírteinið flytjanlegt hvað sem efni þess segir. Skráið fingrafarið og veitandann í stað sýninafns.

Vélbúnaðarvernd þarf sönnur

Skírteini er opinber upplýsing, þess vegna er merkingarbæra spurningin hvar einkalykillinn býr og hvort þessi vernd hafi verið staðfest. TPM-lyklastaðfesting lýsir umsækjanda sem sannar vottunaraðila að lykill sé varinn af traustum TPM, sem er sterkara en að nefna vélbúnaðarveitanda í beiðni. Þetta er líka arkitektúr með eigin traustforsendum, ekki eitthvað sem VPN-biðlari virkjar sjálfgefið. Staðfestið hvað útgefandinn samþykkir og hvað gáttin krefst varðandi skírteinið sem verður til, því geymsla, staðfesting og aðgangsstefna eru þrír þættir.

Vélbúnaðarstuddur lykill segir samt ekkert um plástrastig, núverandi úthlutun eða hvernig lotan er notuð. Það þarf eigin stýringar.

Gerðu skipti og fjarlægingu áþreifanleg

Skipuleggið hvað gerist þegar tæki týnist, er gert við, endurúthlutað eða skipt út. Skipti á móðurborði eða þurrkuð lyklageymsla krefst yfirleitt studdrar endurskráningar í stað þess að afrita gömul leyndarmál til að líkja eftir upprunalegu vélinni. Skráið eignina, auðkenni skírteinis, eigandann, skráningarákvörðun og aðgangshlutverk saman, svo næsti stjórnandi sjái hvað tilheyrir hverju. Fjarlægið heimildina sem gáttin samþykkir í raun, því breyting á birgðastöðu sannar ekkert um fyrirliggjandi skírteini eða lotu.

Prófið síðan mörkin: samþykkt tæki tengist, afritað merki eitt og sér ekki, og starfsskilað auðkenni hættir að virka. Skrá sem heitir approved verður áfram merki þar til traust ferli gefur henni merkingu.